• 首页
  • 综合
  • 国内
  • 国际
  • 财经
  • 视频
  • 军事
  • 科技
  • 图片
  • 舆情
  • 文旅
  • 房产
  • 商业
  • 发改动态
  • 营商环境
  • 聚焦山东
logo
  • Yandex科技首页 >
  • Yandex科技 > 综合 >
  • 正文

华云安·ASM技术篇:VPT技术的本土化探索与实践

2021-12-27 10:43:36 来源:壹点网
安全的本质是动态对抗,将其映射到漏洞管理领域就是漏洞不断产生和不断快速响应的过程。在有限资源下,实现投入的回报收益最大化是漏洞管理的核心目标。为了达成该目标,并将合规驱动转化为攻防实战驱动安全管理工作,我们引进VPT技术应用于日常漏洞管理工作体系建设。本文将就该技术实践中的思考和过程与大家分享。

VPT技术起源

VPT全称为Vulnerability prioritization technology,意为弱点优先级技术,被广泛用于漏洞评估领域。它是全球知名咨询公司Gartner在2019年的《A Guide to Choosing a Vulnerability Assessment Solution》(Gartner,2019.04)一文中首次提出的。Gartner示意:“到2022年,使用基于风险的漏洞管理方法的组织,会减少80%的被攻击的可能”,认为针对漏洞的管理应该以缩小实际被攻击可能性为根本目的。

在Gartner的标准定义中,对VPT提了以下技术点:

• VA telemetry,即漏洞评估测试,主要是指基础的漏洞数据提供和目标检测方式,对目标系统进行漏洞检测和安全性危害评价;

•Asset criticality context即资产重要性关系,主要是指针对弱点所在的资产,站在非安全视角评估资产重要性以纳入弱点影响评价,广义资产包含服务器、网站业务、接口、IoT设备等;

• Environment context即环境关系,基于网络配置情况、安全防御情况等评价弱点的影响面和损失价值;

• Multiple threat intelligence即海量威胁情报,这里的情报不是威胁情报,主要是弱点的情报信息,包括漏洞严重性评分 (CVSS)、修复的难易程度、漏洞的发布日期、易受攻击的软件项目的流行程度以及发现漏洞的应用程序类型等。

VPT技术的本土化思考

VPT技术的主要目的是在有限的时间内,尽可能多的降低被攻击的风险,就像在降低SoC/SIEM的无效告警一样,我们需要从威胁、影响、可修复性三个方面对漏洞处理优先级排序,比漏洞检测更进一步的实现了基于风险的弱点管理。但从VPT技术落地的角度而言,我们需要更多的考虑如何将它本土化。

VPT技术关注重点不是漏洞,而是攻击面。它是一种动态对抗思想,从防守角度在一定时间范围内,最大限度的缩小已有攻击面可能带来的损失。在本土化背景下,该思想的落地场景主要在于攻防演练和关基保护等需要真实防范攻击的安全场景,其中VPT的价值不仅是降低工时和提升效率,更要兼顾考虑指导安全响应和避免安全责任这两项附加价值。VPT应用在国内不得不考虑以下几点:

•VPT需要站在业务角度进行评价

在评价漏洞时加入对业务影响性,并将评价的关键因素呈现出来,会使得业务部门对安全部门提出的处置优先级更易理解。该评价不是简单的根据漏洞所在资产进行,而是需要更具象到漏洞可能造成的损失。

•VPT需要考虑到国内老旧信息资产响应实操性的问题

我国IT数字化建设发展极为迅速,但由于一些历史原因积累了较多老旧的信息资产,这些资产的漏洞修补会比较困难。如果不考虑漏洞的可修复性,反而会给业务部门增加很多负担,所以VPT需要建立对可修复性的建议和标记。

•VPT需要符合中国的网络安全相关规定

应用VPT技术对弱点进行评价时需要考虑我国的相关规定,如《GB/T 30279-2020 网络安全漏洞分类分级指南》、《GB/T 20984-2007信息安全技术 信息安全风险评 估规范》。在《GB/T 30279-2020 网络安全漏洞分类分级指南》中详细定义了漏洞指标类分级、漏洞技术分级、漏洞综合分级的方法对漏洞进行评价,包括不限于被利用性指标、影响程度指标等。

VPT技术的本土化实践

VPT技术虽然一经推出即受到行业领先企业的追捧,但在国内的落地与实践并未展开。直到2020年,由华云安参与制定的《信息安全技术—网络安全漏洞分类分级指南》(GB/T 30279-2020)正式发布,结合了《信息安全技术 信息安全风险评估规范》(GB/T 20984-2007)的风险评估理念,为我国基于风险进行漏洞的评级和管理提供了本土化依据和方法。

华云安在VPT技术实践中,运用多种技术手段提高评价数据维度与精度,提高实战攻防场景下VPT技术的应用效果。

•构建评价因子的数据模型

弱点优先级评价技术就是安全弱点发展成安全事件的可能性。在此基础上,华云安构建了漏洞利用性评价、漏洞影响面评价、漏洞事件可能性评价等场景算法。

漏洞利用性评价基于漏洞确信度、访问路径、环境要求、应用权限和交互函数等元数据构造响应的数据模型。

漏洞影响面评价主要包括资产重要性(ACR)评价及漏洞的危害性评价。从资产角度收集包括资产的流量间访问关系、业务敏感请求,支持关联设备类型、网络区域等多类数据对资产的重要性进行评价,ACR数值越高,则资产价值量越大;漏洞危害性评价则更多依赖漏洞自身危害性关系、漏洞与攻击事件关联数量、攻击事件影响等

漏洞事件可能性评价目前包括网络曝光度评价、事件关联统计等

•建设全量漏洞情报库

除此之外,华云安面向公网捕获威胁与漏洞情报,通过关键词和知识组构造底层知识图谱,依赖图谱梳理漏洞cvss、首次发布时间、公开利用事件、公布PoC、Exp等多个底层数据间的关联关系,用于模型计算。

传统的漏洞优先级大多采用CVSS评分进行评估,而这样“重漏洞轻资产”的评估方式则导致结果过于片面。任何漏洞只有依存在实体或非实体的资产上才有价值。因此华云安首创了基于风险的优先级评估方法,方法分为资产维度和威胁维度:资产维度包含了“设备类型、设备能力、设备作用三个子项的评分;而威胁维度则会按照网络曝光度、资产暴露度、资产漏洞等级进行评分,所有的评分将采用深度学习模式进行动态调整,深度学习的融合为算法提供了无限的演进性,随着时间的推移使每个企业都能够拥有适合自身的优先级评估方式,使计算结果更加落地。

风险评估指标

华云安基于大数据和知识图谱架构自主构建了一套面向企业客户的威胁与漏洞管理系统——灵洞。灵洞根据优先级算法对漏洞进行分类分级,同时结合客户的核心业务,为客户指出漏洞影响业务的范围和其产生的危害后果,告知其相应解决方案,满足了海量数据的快速关联和分析检索的使用需求,帮助客户关注“真正的风险”, 为漏洞精准识别和安全风险发现提供助力。

灵洞威胁与漏洞管理系统


 

免责声明:市场有风险,选择需谨慎!此文仅供参考,不作买卖依据。

责任编辑:

免责声明:以上内容为本网站转自其它媒体,相关信息仅为传递更多信息之目的,不代表本网观点,亦不代表本网站赞同其观点或证实其内容的真实性。如稿件版权单位或个人不想在本网发布,可与本网联系,本网视情况可立即将其撤除。

    为您推荐

  • 2022全球数字经济大会——数字金融论坛亮点抢先看

    2022年7月28-30日,由北京市人民政府、国家发展和改革委员会、工业和信息化部、商务部、国家互联网信息办公室、中国科学技术协会主办的2022
  • 见证创新力量崛起,2022全球数字经济创新大赛总决赛月底开启

      2022全球数字经济创新大赛自启动以来,吸引了全球20+国家,500+项目报名参赛。在圆满完成5场分站赛之后,大赛总决赛将于7月29
  • 解决企业出海合规问题?云片:既是乘客,更是水手

    埃森哲2021年中国独角兽研究报告显示,45%的独角兽企业认为海外拓展至关重要,其中82%的企业计划24个月内进军海外市场,从游戏、开发者服务和S
  • 眼不见 不为净! 与博世洗碗机体验官黎贝卡一起见证洗碗机99.99%长效除菌实力

    随着人们健康意识的提升,餐具的消毒除菌越来越引起人们重视。近日,博世家电携手博世洗碗机体验官黎贝卡进行眼不见不为净的手洗VS机洗除菌
  • 锁鲜更高效,能耗再降低:博世·3重盾护·活氧净冰箱为绿色生活加分

    在我国双碳战略驱动下,家电行业通过产品创新向绿色低碳转型已成为实现健康可持续发展的必然选择之一。基于可持续发展的品牌基础,博世家电
  • 健康守护 为爱行动——帅康联合钟南山基金会等单位,发起妈妈健康厨房行动

    5月8日是母亲节,帅康与广东省钟南山医学基金会联合发起公益活动——妈妈健康厨房行动,包括为5000名妈妈做慢阻肺筛查、倡导厨房环境健康、
  • 健康守护 为爱行动——帅康联合钟南山基金会等单位,发起妈妈健康厨房行动

    5月8日是母亲节,帅康与广东省钟南山医学基金会联合发起公益活动——妈妈健康厨房行动,包括为5000名妈妈做慢阻肺筛查、倡导厨房环境健康、
  • 以优化农产品收购支付服务为切入点 做好金融支持乡村振兴战略大文章

    ——中国银联收购产品赋能乡村振兴成效显著2021年以来,为深入践行支付为民工作理念,主动履行国有金融企业责任担当,中国银联河南分公司(
  • 华云安:云原生攻击面管理解析(下)

    随着向云计算基础设施的转移,我们已经看到了云原生应用的快速增长。这些应用程序是小型、快速且集成的服务的集合。通过创建和运行云原生应
  • 全民生活APP云闪付版上线

    3月24日,中国银联与中国民生银行合作开发的全民生活APP云闪付版正式上线。按照统一标识,统一体验,统一接口的原则,基于云闪付网络支付平
  • 全民生活APP云闪付版上线

    3月24日,中国银联与中国民生银行合作开发的全民生活APP云闪付版正式上线。按照统一标识,统一体验,统一接口的原则,基于云闪付网络支付平
  • 站在原地就是退步 ——除了死磕通道,云通讯服务商还该做些什么?

    受访嘉宾:吴佳钊,杭州云片网络科技有限公司联合创始人、CTO当前,全球通信云已经步入2 0时代,最大的变化在于通信形式的变革:传统短信+语音的
  • 发布健康厨房三大核心产品,帅康引领厨电产业重构正当时

    随着全民健康意识的增强和消费需求的提升,中国厨电行业正在迎来健康升级和重构的新时代。面对时代趋势,帅康定位健康厨房开创者,不断以技
  • 华云安:云原生攻击面管理解析(上)

    1 云原生安全左移在全球云计算市场的发展过程中,伴随云原生应用的不断丰富, 基础设施的资源服务向精细化管理、更优成本、极致弹性,以
  • 助力健康中国,帅康联合钟南山基金会成立“呼吸健康专项基金”

    3月10日,帅康与广东省钟南山医学基金会共同成立帅康呼吸健康专项基金,本次活动是帅康健康厨房构想在呼吸健康领域的一次公益践行,双方将
  • 拉开打法差距 新消费配送第一股顺丰同城潜力巨大

    近几年,即时配送迎来高速增长期,越来越多的玩家挤入即时零售赛道,行业的竞争也日渐白热化。在经历了前期焦灼混战后,拥抱商业长期主义打
  • CSA成果发布&云颁奖典礼,华云安展现强劲实力揽获双奖

    由云安全联盟大中华区举办的CSA成果发布&云颁奖典礼于3月9日在线上举行,会上对在数字化安全领域最具积极贡献及卓越影响的单位进行表彰
  • 茶叶寄递,顺丰“鲜”升级,实现分钟级配送模式

    阳春三月,顺丰争鲜人间三月风光好,春茶飘香唤早春。安徽茶叶历史悠久,自宋代至清末民初,更是涌现出一飞冲天的黄山毛峰、巴拿马万国博览
  • 华云安·ASM技术篇:人工智能在ASM方面的应用

    概述近些年来,随着网络攻防对抗不断演化升级,人工智能在网络空间安全领域的应用也逐步展开。人工智能因其智能化与自动化的识别及处理能力
  • 长安2022款CS75PLUS——市场界的龙卷风

    长安汽车采用双外观双动力的设计方式,充分满足当下消费者的消费需求,其中长安2022款CS75PLUS深得大众喜爱,是人们的新宠儿,以下就是它的魅力
  • 经营能力、技术创新、行业关注——三维度共振,助推华云安上榜“网络安全初创企业HOT50”

    近日,由安全牛发起的2022年度《初鉴初创 |网络安全创业企业HOT50》研究报告正式发布,华云安作为唯一一家攻击面管理企业荣登榜单。本次《
  • 华云安·ASM技术篇:攻防视角下的攻击面管理

    一、前言随着网络数字化转型速度的加快,企业运营方式发生重大变化,网络基础设施更加复杂,使得攻击面的规模不断扩大,网络空间安全承受多
  • 开年喜报丨华云安荣获“2021年度攻击面管理领先企业”

    近期,由赛迪网、《数字经济》杂志社共同发起的2021创新影响力成果评选,在2021数字经济领航者峰会暨2021创新影响力峰会上揭晓。北京华云安
  • 华云安·ASM技术篇:应对零日攻击的检测模型(VEAM)

    根据《麻省理工科技评论》的零日漏洞追踪项目的统计显示,2021年至少发现66个仍在使用中的零日漏洞,数量约是2020年的两倍。日益增长且难以
  • 加速智能生态与场景链接 零立科技引领美容个护产业新航向

    1月12日,以新形象 新赛道 新格局为主题的2022海尔生活家电全球峰会在中国青岛盛大开幕。作为海尔生活家电的重要链群,零立科技(海尔护
  • 华云安·技术篇: “紫队”视角识破安全弱点,看清水下暗流

    1月11日,一加「10至 名归」新品发布会如约而至,性能旗舰一加10 Pro正式发布。一加创始人刘作虎在会上公布2021年一加全球手机出货量首次突
  • 帅康集成灶搭乘中国速度,向健康出发

    2022年1月5日,帅康集成灶健康高铁列车在上海虹桥站盛装启程。立足新起点,借助中国高铁的国民影响力,承载着帅康集成灶强大的品牌实力和信
  • 华云安·ASM技术篇:情报赋能攻击面管理

    攻击面管理关键目的是保护资产和资产上存储、传输的数据。而攻击面管理是风险管理的前提。唯有梳理清楚自有网络中所有资产及资产相关攻击面
  • 华云安·ASM技术篇:VPT技术的本土化探索与实践

    安全的本质是动态对抗,将其映射到漏洞管理领域就是漏洞不断产生和不断快速响应的过程。在有限资源下,实现投入的回报收益最大化是漏洞管理
  • 华云安 · ASM技术篇:漏洞扫描器的下一个十年

    漏洞是最为常见的黑客攻击手段之一,也是目前企业最基础最重要的防御目标。在网络安全发展过程中,漏洞扫描器也曾风光无限。而今,在国家网
  • 构建我自己的幸福,白癜风“告白行动”快乐课堂

    2021年6月14日,白癜风告白行动《美丽心灵,健康成长》快乐课堂——构建我自己的幸福。本期课堂邀请到中国科学院心理研究所心理健康应用中
  • 华云安·概念篇:从Gartner报告看安全运营技术发展趋势

    全球新冠疫情深刻改变了人们的生活方式、工作学习习惯,加速行业和企业的数字化转型进程。在这一过程中,各个企业将数字技术融合到自身的运
  • 华云安·概念篇:从漏洞管理到攻击面管理

    漏洞管理的本质是,对于随企业业务发展而不断产生的各类漏洞采用一系列措施进行从发现到解决闭环管理,以避免因漏洞被利用并演变为安全事件
  • 华云安获亿元A+轮融资,全力打造攻击面管理第一产品力

    近日,北京华云安信息技术有限公司(以下简称华云安)完成亿元人民币的A+轮融资,此轮融资由同创伟业领投,微村智科和国君景泰跟投,密码资
  • 理想ONE车机再次升级,全家人都爱的智能座舱

    在手握30多万预算的情况下,很多人会考虑BBA旗下的一些入门级别车型,毕竟BBA的车型在国内市场中影响力比较高,开BBA出门的话有面子,体验
  • 理想ONE五星安全,被誉为中大型SUV市场“公路坦克”

    安全一直是汽车市场被翻来覆去探讨的核心问题,所有的车企均以安全为基础,进而打造不同定位的车型。而现存的汽车品牌中,又以定位在豪华市
  • 《电动自行车集中充电设施技术规范》即将出台,猛犸出行王振飞解读国标

    2021年10月21日,由中国电力企业联合会、国网电动汽车服务有限公司和中国自行车协会主办的第一届中国电动自行车充换电技术创新大会在北京召
  • 拥抱大未来,帅康&天猫优品HAE高端家电博览会隆重举行

    10月15日—16日,天猫优品高端家电博览会(HAE)在郑州、济南、长沙三地隆重举行。帅康携核心产品重磅亮相三地会场,向主办方、数千天猫优
  • 2021国家网络安全周拉开帷幕 MobTech袤博科技践行网络安全在行动

    由中央宣传部、中央网信办等部门联合举办的以共建网络安全,共享网络文明为主题的2021年国家网络安全宣传周,于10月11日上午9时在陕西西安
  • 2021国际冬季运动(北京)博览会 雪都阿勒泰精彩粉呈 圈粉无数

    9月3日-7日,在2021国际冬季运动(北京)博览会上,新疆阿勒泰地区共有4个县市景区,5家企业携4大类 73种产品参展,重点推介阿勒泰地区冰
  • 北京2022年冬奥会带动延庆实现跨越发展

    9月2日至7日,2021国际冬季运动(北京)博览会(以下简称冬博会)在国家会议中心和首钢园区同期举办。延庆作为北京2022年冬奥会三大赛区之
  • 中国太保:大数据战略稳步推进 创新孵化加速成型

    赢科技者,赢未来。当下,新兴技术迅猛发展,科技创新不断渗透到各行各业,保险行业与数字技术持续深度融合。科技亦成为推动保险发展的主要
  • 保定获批氢燃料电池汽车示范城市,1000+辆推广目标纳入规划

    ​近日,由保定市参与申报的京津冀燃料电池汽车示范城市群,被国家五部委(财政部、工业和信息化部、科技部、国家发展改革委、国家能源局)批
  • 穿透国美倡议书:助力内循环 升级零售新业态

    2021年前7个月,中国经济恢复稳步增长,零售业对于经济回暖起到积极的拉动作用。统计局数据显示,今年前7个月,社会消费品零售总额246829亿
  • 冠军的故事:姚金男的健康厨房

    2021年年初,帅康携手中国体操队,成为中国体操队供应商,打响了全民厨房健康保卫战的第一枪。体育运动的本质是为了强身健体,充满健康向上
  • 未势能源“百辆氢能重卡”正式投入雄安建设

    8月14日,全球首条百辆级49吨市场化运营氢能重卡运输线——保定市至雄安新区的容易路氢能重卡示范线在保定举行投运仪式,拉开了保定市构建
  • 新势力共助数字经济发展·新赛事汇聚行业新方向 全球数字经济创新大赛成功举办

    8月2日,以科技新赋能·数字新标杆为主题的2021年全球数字经济创新大赛,在北京大兴国际机场木棉花酒店成功举办。本次大赛旨在搭建政府和数
  • 科技创新引领数字未来,首届全球数字经济创新大赛在北京大兴成功举办

    8月2日,以创新引领、数据驱动,建设全球数字经济标杆城市为主题的2021全球数字经济大会(以下简称大会)在北京大兴隆重举行。为深入贯彻落
  • 2021年首届全国美业店长大赛暨第七届全国商业服务业优秀店长大赛在京举行

    由中国商业联合会、中国财贸轻纺烟草工会联合主办,中国商联健康美业专委会、北京华辰文化发展中心承办的首届全国美业店长大赛暨第七届全国
  • 国美电器「快乐ZAO城」九城联动 - 北京站

    大中电器中塔店,国潮再ZAO嗨翻天国风为本,潮流当道。在新生代青年眼中,国潮国风不再是老气、传统的符号,而是一种国际的文化浪潮,一种
  • 你还不知道你的聊天内容已经被泄露了么?

    随着互联网技术的不断进步,信息发展的速度如爆炸一般席卷世界,信息数据的泄露越来越成为公认的社会问题。每日畅游在网络世界中的你,可曾
  • 黑科技弯道超车,韶音运动耳机响誉全球

    近年来,中国品牌凭借着科技创新实力出圈,大到航天航空,小到消费电子产品,中国科技正在影响着世界,颠覆着行业格局。这其中,有华为、联
  • 小糊涂仙&林永健,都是国民的选择!

    ​4月26日,小糊涂仙年度优秀合作伙伴大会在中国杭州盛大召开。此次大会中,小糊涂仙官宣了国民演员林永健为国民浓香·小糊涂仙经典系列的
  • 2020“三翼鸟”杯第三届中国室内设计冠军赛颁奖巡礼·西安站完美落幕!

    4月18日,2020三翼鸟杯第三届中国室内设计冠军赛颁奖巡礼·西安站在西安经开洲际酒店完美落幕!大赛为室内设计的发展与创新搭载了诸多先进的
  • 多举措夯实根基 科技创新体制建设将全面强化

    十四五开局之年看两会(四)今年的政府工作报告提出,依靠创新推动实体经济高质量发展,培育壮大新动能。促进科技创新与实体经济深度融合,
  • 2020河北好物节,一大波“好奇”来袭!

    百度 App 携手浙江卫视联合打造的国内首档好奇主题晚会《百度好奇夜》,在百度 App、爱奇艺、浙江卫视等八大平台同步直播,超强明星阵容,

相关推荐

  • 全民生活APP云闪付版上线
  • 全民生活APP云闪付版上线
  • 站在原地就是退步 ——除了死磕通
  • 发布健康厨房三大核心产品,帅康引
  • 助力健康中国,帅康联合钟南山基金
  • CSA成果发布&云颁奖典礼,华云安展
  • 茶叶寄递,顺丰“鲜”升级,实现分
  • 华云安·ASM技术篇:人工智能在ASM
  • 长安2022款CS75PLUS——市场界的龙卷风
  • 经营能力、技术创新、行业关注——

阅读排行

  • 2022全球数字经济大会——数字金融论坛亮点抢先看
  • 见证创新力量崛起,2022全球数字经济创新大赛总决赛月底开启
  • 解决企业出海合规问题?云片:既是乘客,更是水手
  • 眼不见 不为净! 与博世洗碗机体验官黎贝卡一起见证洗碗机99.99%长效除菌实力
  • 锁鲜更高效,能耗再降低:博世·3重盾护·活氧净冰箱为绿色生活加分
  • 李佳琦:新希望,新目标,心相伴
  • 健康守护 为爱行动——帅康联合钟南山基金会等单位,发起妈妈健康厨房行动
  • 以优化农产品收购支付服务为切入点 做好金融支持乡村振兴战略大文章
  • 华云安:云原生攻击面管理解析(下)
  • 全民生活APP云闪付版上线

Yandex科技版权所有